5分でわかるMITRE D3FEND～次世代セキュリティの設計図を読み解く～

MITRE D3FENDの基本概念とATT&CKとの関係性

「MITRE D3FEND（マイター・ディフェンド）」（以下、D3FEND）は、米国国家安全保障局（NSA）の資金支援を受け、米国の非営利組織MITREが2021年6月にβ版を公開した、防御技術のナレッジグラフ（知識体系）です。正式名称である「Detection, Denial, and Disruption Framework Empowering Network Defense」が示す通り、リリース当初はネットワーク防御を強化するための検知・拒否・妨害のフレームワークとして誕生しましたが、現在はサイバー防御全般に関連するフレームワークとしての役割が期待されています。

攻撃者の戦術をまとめたATT&CKが「攻撃側の視点」に立っているのに対し、D3FENDは徹底した「防御側の視点」で構成されているのが最大の特徴です。公開以降も定期的なアップデートが続いており、新たな脅威に対抗するための技術要件やマッピングが継続的に追加されています。セキュリティ製品の客観的な機能評価や、自社の防御アーキテクチャを設計する際の辞書としての役割が強く期待されています。なお、正式版は2025年1月にリリースされ、現在ではOT（制御技術）領域への拡張が統合されたほか、自社のサイバー防御の構成要素や関係を画面上でドラッグ＆ドロップしながら視覚的に設計・共有できるツール「D3FEND CAD（CADライブラリ/CAD IDE）」なども提供されています。

なぜ「攻撃手法の理解」だけでは現場が回らないのか

現場のセキュリティ担当者やCISOがセキュリティ運用で直面している課題を整理してみましょう。そうするとなぜ新たなフレームワーク（＝D3FEND）が必要になったのかが見えてきます。

課題は大きく3つに集約されます。

課題①：ベンダー独自の用語が乱立

これまで、防御技術を正確に指し示す世界共通の言語はありませんでした。たとえばエンドポイントでの不審な動きを止める機能ひとつとっても、A社は「AIディープシールド」、B社は「アドバンスド・プロテクト」といった独自の製品機能名や訴求表現を使います。これでは、自社に導入済みの製品と新規検討中の製品で「何がどう違うのか」「機能が重複していないか」をフラットに比較できません。経営層と現場の間でも、投資対効果の話が噛み合わなくなる大きな原因でした。

課題②：ツギハギだらけのセキュリティ投資

インシデントが起きるたび、あるいは新しい脅威がニュースになるたびに、流行りのセキュリティ製品を導入してきた企業は少なくありません。その結果、自社のシステム全体で「どこが重複して守られていて、どこに致命的な穴があるのか」を誰も客観的に説明できないブラックボックス状態に陥っています。

課題③：そもそもATT&CKからの「翻訳」が困難

ATT&CKは攻撃者の手口を知るには素晴らしいツールですが、防御策については大まかな緩和策（Mitigations）が書かれているだけでした。「OSのパッチを当てる」「特権IDを厳格に管理する」といった抽象度が高い指示が多く、SOC（セキュリティオペレーションセンター）の担当者が本当に知りたい「具体的にどのルーターやEDRの、どのスイッチをオンにすれば防げるのか？」というシステム実装レベルの答えまでは提供してくれなかったのです。攻撃手法と防御策の間に横たわる、この深い溝を埋める仕組みが現場から求められていました。

こうした課題を打破し、「守りの全貌」を論理的に語るために生まれたのがD3FENDです。両者の役割の違いを以下の表にまとめました。

表1　「ATT&CK」と「D3FEND」の比較

出典　ニュートン・コンサルティング作成

D3FENDは単なる用語辞典ではありません。システム内に存在するファイルやプロセス、ネットワーク通信、ユーザー資格情報といったIT環境の具体的なデータ要素（これらを「デジタルアーティファクト」と呼びます）に対して、「どの防御が作用するか」を整理した設計図です。これにより、私たちは初めて自社の防御体制を体系的に評価できるようになりました。

説明および企業としての活用方法、D3FENDの実践的導入アプローチ

では、このD3FENDを具体的にどう読み解き、実務にどう落とし込めばいいのでしょうか。

D3FENDの根底にあるのはデジタルアーティファクトを起点として、攻撃者の攻撃手法（ATT&CK）と防御側の技術を紐づける考え方です。デジタルアーティファクトは、攻撃者が侵入時に操作・悪用する標的であると同時に、防御側が監視・保護する対象でもあります。D3FENDは、これらに対して「防御側がどうアクションするか」を7つの基本戦術（Tactics）に分類しています。

表2　「D3FEND」の7つの基本戦術

出典　MITRE D3FENDをもとにニュートン・コンサルティングが作成

これらの戦術を踏まえ、日本のIT部門やセキュリティ担当部署が明日から使える3つの実践的な活用方法をご紹介します。

活用方法1：ベンダーの謳い文句に惑わされない「製品評価」

新しいEDRやNDRを導入する際、「独自のAIで未知の脅威をブロック」といった曖昧なカタログスペックで比較していませんか？D3FENDを使えば、これを標準言語に変換できます。

たとえばRFP（提案依頼書）を作成する際、「最新のマルウェアを防ぐこと」といった要求ではなく、「D3FENDが定義する『プロセス強制終了（Process Termination）』と『ファイル分析（File Analysis）』の機能をどのように実装しているか」など、要件を細分化し、ベンダーにその技術的アプローチを提案書へ具体的に記載させることができます。

各社から出てきた回答をD3FENDの分類に沿ってマッピングすれば、既存のファイアウォールやアンチウイルスとの機能重複や不足が一目でわかります。無駄なライセンス費用を削り、本当に足りない機能に予算を回すための強力な武器になります。

活用方法2：経営層を納得させる「ギャップ分析と投資ロードマップ」

「わが社のセキュリティは結局どうなっているのか」という経営陣からの漠然とした問いに対し、明確に答えるのはコンサルタントでも骨が折れる作業です。ここでD3FENDの出番です。

自社にあるすべてのセキュリティ製品と運用ルールを、D3FENDの7つの戦術に当てはめて色塗り（マッピング）してみてください。すると、たとえば「検知（Detect）」のマス目は真っ黒に埋まっているのに、「隔離（Isolate）」や「欺瞞（Deceive）」のマス目が真っ白であるといった偏りに気づくでしょう。これが自社の弱点です。「現状は検知に過剰投資しているため、来期はランサムウェアの被害を局所化する隔離の技術に予算を割くべきです」など、客観的なデータに基づいた説得力のあるロードマップを提示できるようになります。

活用方法3：SOCの属人化を防ぐ「対応手順の標準化」

インシデント発生時の対応策が、特定の担当者の経験や判断に依存している組織では、対応のばらつきや初動の遅れが生じやすくなります。D3FENDは、SOCチームの対応手順書（プレイブック）で用いる防御アクションの名称や粒度を整理する際にも役立ちます。

たとえばアラートを検知した際、いきなり端末のネットワーク隔離や停止といった大きな対応に進むのではなく、D3FENDの「排除（Evict）」に含まれる技術を参照し、該当プロセスの終了、セッションの切断、認証情報の無効化など、状況に応じた対応候補を整理しておきます。SOAR（Security Orchestration, Automation and Response）などの自動化ツールを使っている場合も、こうした分類をもとにアクションや承認フローを設計しておくことで、担当者による判断のばらつきを抑え、より一貫した初動対応につなげやすくなります。

D3FENDは「防御の共通言語」として小さく使い始める

これまでベンダーの独自用語やエンジニアの経験則といったベールに包まれていた防御技術に、明確な基準を与えたのがD3FENDです。攻撃者の手口をATT&CKで理解するだけでなく、それに対してどのような防御技術が作用し得るのかを整理することで、自社の防御体制をより論理的に見直しやすくなります。攻撃者に対して論理的な防衛陣地を築くための「共通言語」として現場で使い倒してください。

ただし、D3FENDは「すべての項目を埋めれば完璧」というチェックリストではありません。自社のビジネス環境や守るべきデータの重要度に応じて、「ここは意図的に何も対策しない（リスクを受容する）」という決断も立派な戦略です。最初から全社システムを対象に大規模なマッピングを始めると、途中で行き詰まる可能性もあります。

まずは、自社の主力セキュリティ製品や直近で最も恐れている脅威（ランサムウェアなど）に絞り、関連する一部のシステムだけで評価を試してみる。そんなスモールスタートを強くおすすめします。D3FENDは、セキュリティ対策を一度に完成させるための万能な設計図ではなく、関係者が同じ言葉で防御の現状と課題を話し合うための出発点として活用することが現実的です。付箋を貼り付けるような感覚で、チームで話し合ってみることから始めてみてはいかがでしょうか。